CVE-2026-44016
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W Docling w wersjach od 2.82.0 do 2.90.0, jeśli jawnie włączono backend HTML do renderowania (domyślnie wyłączony), funkcja renderowania oparta na Playwright umożliwia wykonanie kodu JavaScript i nieograniczony dostęp sieciowy podczas przetwarzania niezaufanych dokumentów HTML. Atakujący może stworzyć złośliwy HTML, który wykonuje dowolny JavaScript w kontekście renderowania lub wysyła nieautoryzowane żądania sieciowe do wewnętrznych usług.
Ocena ryzyka
Ryzyko obejmuje ataki SSRF, wyciek danych lub zdalne wykonanie kodu w środowisku renderowania, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować Docling do wersji 2.91.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w Docling
Zobacz wszystkie- CVE-2026-47214Wysokie
W Docling przed wersją 2.94.0 stwierdzono niebezpieczne obsługiwanie URI i ścieżek w backendzie HTML. Luka ta może umożliwić atakującemu wykonanie nieautoryzowanych operacji na plikach lub zasobach sieciowych.
- CVE-2026-44020Wysokie
Podatność w bibliotece Docling w wersjach od 2.13.0 do 2.74.0 umożliwia ataki XML External Entity (XXE) przez parsowanie złośliwych plików XML patentów USPTO. Atakujący może odczytać dowolne pliki z serwera, przeprowadzić ataki SSRF lub spowodować odmowę usługi przez rozszerzanie encji.
- CVE-2026-44017Wysokie
Podatność w Docling przed wersją 2.91.0 umożliwia atak Zip Slip podczas pobierania modeli EasyOCR. Atakujący może nadpisać dowolne pliki w systemie, co prowadzi do zdalnego wykonania kodu, trwałego backdoora lub uszkodzenia danych.
Oryginalny opis (angielski, źródło NVD)
Docling simplifies document processing by parsing diverse formats and providing integrations with the generative AI ecosystem. FIn versions >= 2.82.0, < 2.91.0, if the HTML backend was explicitly configured for rendering (rendering option by default deactivated), then the Playwright-based rendering feature could allow JavaScript execution and unrestricted network access when processing untrusted HTML documents. An attacker could craft malicious HTML that executes arbitrary JavaScript in the rendering context or makes unauthorized network requests to internal services, potentially leading to SSRF attacks, data exfiltration, or remote code execution in the rendering environment. This vulnerability is fixed in 2.91.0.